Symfony3部署后prod.log提示annotations目录不可写入排查求助

首先，虽然你执行了chmod -R 777 /var，但这个操作过于宽泛且没触碰到核心问题——权限位只是一方面，文件/目录的所有者、Web服务器运行上下文、系统安全模块等都可能导致这个报错。以下是具体的排查步骤：

• 检查目录所有者与Web服务器运行用户是否匹配
  先确认你的Web服务器（Apache/Nginx+PHP-FPM）的运行用户：

  • Apache：执行ps aux | grep apache2，通常用户是www-data
  • PHP-FPM：执行ps aux | grep php-fpm，默认也是www-data

  然后查看缓存目录的所有者信息：

  ls -ld /var/www/domain.com/var/cache/prod/annotations
  

  如果目录所有者是部署用户（比如root或你的SSH用户），即使权限是777，部分环境下PHP进程（以www-data运行）可能因安全策略无法写入。建议直接设置正确的所有者：

  chown -R www-data:www-data /var/www/domain.com/var
  

  这比用777更安全，也更符合Symfony的权限规范。

• 验证缓存清理命令的执行用户
  你的部署脚本中执行cache:clear时，如果用的是root或非Web服务器用户，生成的缓存文件所有者会是执行用户，后续即使chmod 777，也可能出现写入问题。建议切换到Web服务器用户执行缓存清理：

  sudo -u www-data php bin/console cache:clear --env=prod --no-debug
  

  这样生成的缓存文件默认就是www-data所有，避免权限冲突。

• 检查AppArmor的限制（Debian 9默认启用）
  Debian 9默认开启AppArmor安全模块，可能限制了PHP进程的写入路径。执行以下命令查看当前生效的profile：

  aa-status
  

  如果看到php7.x-fpm相关的profile处于enforce模式，需要检查该profile是否允许PHP写入你的项目缓存目录。可以临时禁用测试：

  sudo aa-complain /etc/apparmor.d/usr.sbin.php7.2-fpm
  

  如果禁用后问题解决，就需要修改AppArmor规则，添加对/var/www/domain.com/var/cache/** rw,的权限。

• 排查PHP的open_basedir限制
  检查PHP配置（php.ini或PHP-FPM的pool配置文件）中是否设置了open_basedir，如果有，确认你的项目缓存目录是否在允许的路径列表中。比如：

  open_basedir = /var/www/domain.com/:/tmp/
  

  如果缺少缓存目录路径，PHP进程会被限制写入。

• 手动测试Web服务器用户的写入权限
  切换到Web服务器用户，直接尝试写入缓存目录，看是否能成功：

  sudo -u www-data bash
  touch /var/www/domain.com/var/cache/prod/annotations/test_write.txt
  

  如果执行失败，终端会给出具体错误信息（比如Operation not permitted通常是AppArmor问题，Permission denied可能是所有者或权限位问题），这能快速定位核心原因。

另外，注意不要给整个/var目录设置777权限，这会带来严重的安全风险，只需要给项目的var目录设置合适的权限即可。

内容的提问来源于stack exchange，提问作者Lajdák Marek